Çift adımlı doğrulama: SMS, uygulama ve güvenlik anahtarı farkları
SMS kodu, doğrulama uygulaması ve donanım güvenlik anahtarı arasındaki farkları, hangi yöntemin hangi riske karşı koruduğunu sade biçimde karşılaştırıyoruz.
Parolanız sızsa bile hesabınızı koruyabilecek en etkili önlemlerden biri çift adımlı doğrulamadır. Ancak “çift adımlı doğrulama” tek bir yöntem değildir; SMS kodundan donanım anahtarına kadar uzanan bir yelpaze vardır ve her yöntem farklı bir riske karşı farklı düzeyde koruma sağlar. Doğru seçimi yapmak için önce tehdidin ne olduğuna bakmak gerekir.
Temel mantık
Tek adımlı girişte yalnızca bilginiz (parola) yeterlidir. Çift adımlı doğrulamada buna ikinci bir kanıt eklenir: sahip olduğunuz bir şey (telefon, anahtar) ya da olduğunuz biri (parmak izi gibi). Böylece parolayı ele geçiren bir saldırgan, ikinci kanıta sahip değilse içeri giremez. Hiçbir yöntem kusursuz değildir, ama hemen hepsi hiç kullanmamaktan iyidir.
SMS ile gelen kod
En yaygın ve en kolay yöntemdir; ek uygulama gerektirmez. Zayıf yanı, telefon numarasının ele geçirilebilmesidir: Saldırgan operatörü kandırarak numaranızı kendi SIM kartına taşıtabilir (SIM değiştirme saldırısı) ya da mesajı başka yollarla yakalayabilir. Ayrıca sahte bir sayfa size kodu girdirebilir. Yine de SMS, hiç ikinci adım olmamasından belirgin biçimde daha güvenlidir; diğer seçenekler sunulmuyorsa kullanmak mantıklıdır.
Doğrulama uygulaması (tek kullanımlık kod)
Telefonda çalışan bir uygulama, her yarım dakikada bir değişen kodlar üretir. Bu kodlar operatör ağından geçmediği için SIM değiştirme saldırısından etkilenmez. Zayıf yanı, sahte bir giriş sayfasının kodu da sizden alıp gerçek siteye anında iletebilmesidir. Ayrıca telefon kaybolursa veya değişirse hesaplara erişim için kurtarma kodlarına ihtiyaç duyarsınız.
Bildirimle onay
Bazı hizmetler telefonunuza “giriş yapıyor musunuz?” diye bir bildirim gönderir. Kullanımı çok rahattır; ancak saldırgan arka arkaya çok sayıda istek göndererek sizi yorup yanlışlıkla onaylatmaya çalışabilir. Ekranda görünen numarayı girmenizi isteyen ya da konum bilgisini gösteren sürümler bu riski azaltır. Beklemediğiniz bir onay isteği gelirse asla onaylamayın ve parolanızı değiştirin.
Donanım güvenlik anahtarı ve geçiş anahtarları
USB ya da yakın alan iletişimiyle çalışan güvenlik anahtarları, giriş yapılan sitenin adresini kontrol eder. Sahte bir sayfa gerçek alan adına sahip olmadığı için anahtar yanıt vermez; bu nedenle oltalamaya karşı en dirençli yöntemlerden biri kabul edilir. Geçiş anahtarları (passkey) aynı teknik temele dayanır ve parolanın yerini almayı hedefler; telefon ya da bilgisayardaki biyometrik doğrulama ile çalışır. Desteği her sitede yoktur ve cihaz değiştirirken nasıl taşınacağını önceden öğrenmek gerekir.
Hangi yöntem kime uygun?
- Genel kullanıcı: Doğrulama uygulaması iyi bir denge sunar. SMS yalnızca başka seçenek yoksa kullanılmalı.
- Hedef olma ihtimali yüksek kişiler (gazeteci, yönetici, aktivist): Güvenlik anahtarı ya da geçiş anahtarı tercih edilmeli.
- Yaşlı yakınlarınız: Sadelik önemlidir; karmaşık bir yöntem bırakılacaksa SMS bile hiç olmamasından daha iyidir.
Önce hangi hesaplar?
Öncelik e-posta hesabınızdır; çünkü çoğu hizmetin parola sıfırlama bağlantısı oraya gelir. Ardından bankacılık, bulut depolama ve sosyal medya hesapları gelir. Parola yöneticinizin hesabını da mutlaka koruyun; seçim ölçütleri için parola yöneticisi seçerken nelere bakılmalı yazısına göz atabilirsiniz.
Kurtarma planı yapın
Telefonunuzu kaybettiğinizde hesaplarınıza girememek ikinci adımın en sık görülen yan etkisidir. Bu nedenle yedek kodları yazdırıp güvenli bir yerde saklayın, mümkünse ikinci bir yöntem (örneğin ikinci bir anahtar) ekleyin ve hesap kurtarma bilgilerinizi güncel tutun.
Sık sorulan sorular
Çift adımlı doğrulama hesabımı tamamen güvenli yapar mı? Hayır. Saldırı riskini ciddi biçimde azaltır, ama sahte sayfalar ve sosyal mühendislik gibi yöntemler hâlâ tehdit oluşturabilir. Bu yüzden bağlantılara ve istenmeyen kod taleplerine temkinli yaklaşın.
Kodu kimseyle paylaşmalı mıyım? Asla. Kendinizi “destek ekibi” olarak tanıtan biri bile olsa doğrulama kodunu kimseye söylemeyin.
Telefonumu değiştirirken ne yapmalıyım? Eski cihaz elinizdeyken uygulamanın aktarma özelliğini kullanın ya da yeni cihazda hesapları yeniden kurun. Eski cihazı sıfırlamadan önce her şeyin çalıştığından emin olun.